当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
WordPressの管理画面へアクセスできる地域を制限することで、通常は管理に使用しない国や地域からのログイン試行を減らすことができる。
これは固定IPではない環境でもおこなえる対策だが、限界もある。
管理する場所や利用している外部サービスへの影響を確認したうえで導入する。
地域制限の基本的な考え方
WordPressを管理する地域が限定されている場合は、地域によるアクセス制限を利用しやすい。
例えば日本国内からのみ管理するのであれば、それ以外の地域を制限するメリットが多い。
一方、海外出張や海外拠点からも管理する場合は、地域制限によって正規の管理者まで遮断される可能性がある。VPNを利用している場合も、VPNサーバの所在地によって制限対象地域からのアクセスとみなされることもある。
アクセス地域を制限するレイヤ
地域によるアクセス制限は、Webサイトの前段やホスティングサービス、WordPressなど複数のレイヤで設定できる。
Cloudflareなどでの制限
CloudflareなどをWebサイトの前段で利用している場合は、接続元の国・地域を条件としてアクセスを制限できる。
管理画面など対象とするURLと地域を組み合わせて制限すれば、不要な地域からの通信をWebサーバへ到達する前に遮断できる。
ホスティングサービス・Webサーバでの制限
ホスティングサービスによっては、国外からWordPressの管理画面などへのアクセスを遮断・制御する機能が用意されている。
制限対象や例外設定などの仕様はサービスによって異なるため、管理画面や公式マニュアルから確認する。
WordPressでの制限
WordPress側でも、接続元の地域を判定してアクセスを制限できるセキュリティプラグインなどを利用できる場合がある。
利用する場合は、地域の判定方法やデータの更新方法、制限対象となるURLや機能を確認しておく。
制限する地域の決定
地域制限では、必要な地域を確認したうえで制限範囲を決める。
管理者が日本国内からしかアクセスしないからといって、Webサイト全体への海外アクセスまで遮断する必要があるとは限らない。
不正ログイン対策が目的であれば、ログイン画面や管理に必要な範囲を対象として、不要な地域からのアクセスを制限する方法を優先する。
海外出張や海外拠点から管理する可能性がある場合は、その際のアクセス方法もあらかじめ決めておく。
地域で判定する制限方法の限界
アクセス元の地域は、主に接続元IPアドレスなどの情報から判定されるので、実際に利用者がいる場所と、判定される地域が常に一致するとは限らない。
また、VPNやプロキシなどを利用すれば、実際とは異なる地域を経由して接続することもできる。
そのため、地域制限は完璧な対策ではないことを前提として、ログイン試行を減らす対策として利用する。
正規サービスへの影響を考慮する
地域制限の対象によっては、検索エンジンのクローラー、監視サービス、外部連携など、Webサイトに必要な正規の通信まで遮断する恐れがある。
その対策としては、管理画面への不正ログイン対策が目的であれば、Webサイト全体ではなく、ログイン画面や管理に必要な範囲へ制限を絞るとバランスがいい。
必要な通信が制限対象となる場合は、サービスが公開している接続元情報や、利用しているアクセス制御サービスの正規Bot判定機能などを利用して例外を設定できる場合がある。
多数の外部サービスを個別にホワイトリストへ登録する方法もあるが、接続元情報の変更などに追従する必要があり、運用負荷が増しやすい。中小規模の環境では、例外を増やすよりも制限する範囲を絞る方法を優先する。
地域制限による影響
地域制限を行うと、管理者自身が制限対象の地域へ移動した場合も管理画面へアクセスできなくなる。
VPNを利用している場合は接続先の変更によって遮断される可能性もあるため、普段と異なる環境から管理する場合には注意が必要となる。
また、/wp-admin/ などを一括して制限すると、WordPressやプラグイン、外部サービスが利用する通信まで影響を受ける場合がある。制限するURLの範囲と、公開サイトの動作に問題がないことも確認しておく。
設定後のアクセス確認
正規アクセスの通過を確認
設定後は、通常管理する地域からWordPressの管理画面へ正常にアクセスできることを確認する。
不正アクセスの遮断を確認
VPNサービスなどを利用して接続先の国・地域を変更し、制限対象の地域からアクセスが拒否されることも確認しておく。
公開ページやフォーム、外部サービスとの連携なども確認し、地域制限によって必要な機能が影響を受けていないことを確かめる。
他の不正アクセス対策との併用
地域制限は、不要な地域からのログイン試行を減らすための対策であり、認証そのものを強化するものではない。
許可された地域からの攻撃や、VPNなどを経由したアクセスは防ぎづらいため、多要素認証やパスワード対策、必要に応じたIP制限などと組み合わせて利用する。